FICHE CVE

CVE-2026-24735

Publiée le 2026-02-04 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions d'Apache Answer jusqu'à la 1.7.1 contiennent un point de terminaison d'API non sécurisé qui divulgue l'historique complet des révisions du contenu supprimé. Un attaquant distant non authentifié peut exploiter cette faille pour récupérer des informations sensibles ou privées sans avoir besoin d'un compte ni d'aucune interaction de l'utilisateur. La mise à jour vers la version 2.0.0 résout ce problème.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

CWE-359

Publiée2026-02-04

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Exposure of Private Personal Information to an Unauthorized Actor vulnerability in Apache Answer. This issue affects Apache Answer: through 1.7.1. An unauthenticated API endpoint incorrectly exposes full revision history for deleted content. This allows unauthorized user to retrieve restricted or sensitive information. Users are recommended to upgrade to version 2.0.0, which fixes the issue.